CVE-2026-49265
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
OAuthLib to implementacja logiki podpisywania żądań OAuth dla języka Python 3.6 lub nowszego. Od wersji 3.0.0 do 4.0.0 funkcja PKCE OAuthLib sprawdza w oauthlib/oauth2/rfc6749/grant_types/authorization_code.py porównywanie wartości code_verifier dostarczonych przez atakującego z przechowywanymi wyzwaniami przy użyciu zwykłej równości ciągów w code_challenge_method_plain i code_challenge_method_s256. Ponieważ porównanie może powrócić po różnicy długości lub pierwszym niezgodnym znaku, powtarzane pomiary punktu końcowego tokenu mogą ujawnić informacje o czasie wspólnego prefiksu, które mogą potencjalnie umożliwić odzyskanie code_verifier, nieautoryzowane przejęcie tokenu dostępu i przejęcie konta. Praktyczne wykorzystanie wymaga przechwyconego, jednorazowego kodu autoryzacyjnego i wystarczającej liczby pomiarów, aby przezwyciężyć szum sieci w świecie rzeczywistym; lokalny punkt odniesienia dotyczący czasu nie przewiduje praktycznego zdalnego przejęcia rachunków, zatem to osłabienie pozostaje przedmiotem głębokiej troski obrony. Ten problem został rozwiązany w wersji 4.0.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/oauthlib/oauthlib/commit/74664d3fe037a354e180e305135c6bab1747a6b0
- https://github.com/oauthlib/oauthlib/pull/963
- https://github.com/oauthlib/oauthlib/releases/tag/v4.0.0
- https://github.com/oauthlib/oauthlib/security/advisories/GHSA-xpv3-w29h-x7cv
- https://github.com/pypa/advisory-database/tree/main/vulns/oauthlib/PYSEC-2026-4114.yaml
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org